預防WannaCry勒索病毒入侵→關閉445連接埠

kL9p2oQ9

WannaCry（直譯「想哭」，或稱WannaCrypt、WanaCrypt0r 2.0、Wanna Decryptor）是一種利用NSA的EternalBlue工具透過網際網路對全球執行Windows作業系統的電腦進行攻擊的加密性勒索軟體蠕蟲（Encrypting Ransomware Worm）。該病毒利用AES-128和RSA演算法加密，利用Tor進行通訊，為WanaCrypt0r 1.0的變種。

未在電腦上啟用自動更新的使用者必須手動更新

可以在官方網站自行下載依照自己系統版本：
https://technet.microsoft.com/zh-tw/zh-tw/library/security/MS17-010

Windows 7 ( 64 位元 ) 版本：
http://download.windowsupdate.com/c/msdownload/update/software/secu/2017/05/windows6.1-kb4019264-x64_c2d1cef74d6cb2278e3b2234c124b207d0d0540f.msu

Windows 7 (32 位元 ) 版本：
http://download.windowsupdate.com/c/msdownload/update/software/secu/2017/05/windows6.1-kb4019264-x86_aaf785b1697982cfdbe4a39c1aabd727d510c6a7.msu

Windows 8.1 ( 64 位元 ) 版本：
http://download.windowsupdate.com/c/msdownload/update/software/secu/2017/05/windows8.1-kb4019215-x64_d06fa047afc97c445c69181599e3a66568964b23.msu

Windows 8.1 ( 32 位元 ) 版本：
http://download.windowsupdate.com/c/msdownload/update/software/secu/2017/05/windows8.1-kb4019215-x86_fe1cafb988ae5db6046d6e389345faf7bac587d7.msu

資源來自 https://goo.gl/yZPA0I

maodou

也可以這樣設定關閉445連接埠, 以系統管理員身分執行命令提示字元:

1. netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=445 name="Block TCP-445"
   
2. netsh advfirewall firewall add rule dir=in action=block protocol=UDP localport=445 name="Block UDP-445"

複製代碼

a1720c

想請問一下，是win8以下的才要關嗎？
還是連win10的也要預防性關閉呢？
另外在網路上有看到這一篇
請問win10的是關閉SMBv1就夠了嗎？

不好意思問題有點多，有勞前輩們回復了！

all.around

a1720c 發表於 2017-5-15 23:16
想請問一下，是win8以下的才要關嗎？
還是連win10的也要預防性關閉呢？
另外在網路上有看到這一篇

關閉 [SMB 1.0/CIFS 檔案共用支援] 的服務後就無法看到網路芳鄰[size=15.3333px]，
所以先關閉等更新完成後若需用到再開啟它

maodou

a1720c 發表於 2017-5-15 23:16
想請問一下，是win8以下的才要關嗎？
還是連win10的也要預防性關閉呢？
另外在網路上有看到這一篇

你把某一個port 關掉/擋掉 代表要透過那個port通訊的就無法完成. (例如關掉port 445 SMBv1, SMBv2就過不了...)

以目前WannaCry而言, 理論上如果你的Windows已經修補了SMBv1的漏洞, 就算開了port 445應該也沒有關係. (但是其他的病毒可能會藉由TCP 445傳播)

資訊安全沒有百分百保證沒問題的. 病毒會變種(利用不同的漏洞或port...), 原先認為修補過的沒問題程式也可能被發現還有其他漏洞.

安全性越高通常便利性就越不好, 要防護到何種程度是你自己的決定. 但是還是建議要有更新的習慣 (還有搭配防毒/防火牆軟體).

微軟是建議把SMBv1關掉: Stop using SMB1
如果你的使用環境還有一堆Windows Server 2000/2003, Windows XP或是很舊的網路印表機和網路芳鄰的死忠愛好者... 那就只好繼續使用SMBv1.

如何啟用與停用 SMBv1、 SMBv2 和 Windows 及 Windows Server 中的 SMBv3

新版的Windows會儘量透過比較新的SMB version溝通:

OS	Windows 10 WS* 2016	Windows 8.1 WS* 2012 R2	Windows 8 WS* 2012	Windows 7 WS* 2008 R2	Windows Vista WS* 2008	Previous versions
Windows 10 WS* 2016	SMB 3.1.1	SMB 3.0.2	SMB 3.0	SMB 2.1	SMB 2.0.2	SMB 1.x
Windows 8.1 WS* 2012 R2	SMB 3.0.2	SMB 3.0.2	SMB 3.0	SMB 2.1	SMB 2.0.2	SMB 1.x
Windows 8 WS* 2012	SMB 3.0	SMB 3.0	SMB 3.0	SMB 2.1	SMB 2.0.2	SMB 1.x
Windows 7 WS* 2008 R2	SMB 2.1	SMB 2.1	SMB 2.1	SMB 2.1	SMB 2.0.2	SMB 1.x
Windows Vista WS* 2008	SMB 2.0.2	SMB 2.0.2	SMB 2.0.2	SMB 2.0.2	SMB 2.0.2	SMB 1.x
Previous versions	SMB 1.x	SMB 1.x	SMB 1.x	SMB 1.x	SMB 1.x	SMB 1.x

* WS = Windows Server





以上是小弟個人一些小小的看法, 如有錯誤還望各位先進指正.

jmsdhn

請教這個防堵方式
是與第三方防毒軟體之間
完全獨立的嗎
擔心會互相衝突之類的
剛剛已經趕快設定了
感謝樓主的教學與提醒
二樓大大的指令教學
很需要
可以加在重裝預設中

sanju

WIN系統更新最新升級檔,防毒軟體一定要挑一個來裝(某強國出的就...),近期上網低調保守點,買顆硬碟資料備份確實(硬碟商又有理由漲價了),目前只能盡量被動的等待這波毒災快快過去,別再變種了,連公家機關,醫院都會中毒,叫我們這些領22K的小老百姓,該怎麼辦阿,報警也沒用,還是先學學某位中毒的人,先擬好低收入(國家)戶文,不幸變"毒"友,直接複製貼上給作者,就能夠免費解鎖了

due6911

我5/12接近半夜十二點
看到噹大po的文章
才更新完重開機
就被攻擊~nod32瘋狂彈出封鎖
隔天早上起床爬文就看到災情悲烈
這二天公司也雞飛狗跳的~忙~茫~盲

lucky117

sanju 發表於 2017-5-16 06:50
WIN系統更新最新升級檔,防毒軟體一定要挑一個來裝(某強國出的就...),近期上網低調保守點,買顆硬碟資料備份 ...

說因為高估台灣薪資而解鎖的勒索病毒，在PTT已經有人發文了。

這二款勒索病毒是不同的。

免費解鎖的勒索病毒，在文中看到的內容是說他們還在進行測試階段。

目前只有小部份的電腦有成功綁架而已，目前仍在修正中 !! ((怕

jack847

真的好詳細的教學
未來會不會都以這種方式在攻擊各國的電腦
好麻煩
完全都是走系統的漏洞
如果不更新 就等著被攻擊
但更新也要是有可能出現BUG
導致整系統當機的可能性